Sicherheitswarnung von Bybit: Telegram-Fehler auf Android gefährdet Krypto-Nutzer
Die Kryptobörse Bybit hat ihre Nutzer am Freitag dazu aufgefordert, die Telegram-App auf Android-Geräten umgehend zu aktualisieren. Der Grund ist ein Fehler, der es ermöglicht, dass eine einzelne Chat-Nachricht Code auf Android-Smartphones ausführt.
Das Risiko beschränkt sich nicht nur auf Telegram. „Ein kompromittiertes Gerät könnte auch andere Apps gefährden“, erklärte Bybit. Häufig teilen sich Börsen- und Wallet-Apps ein Gerät mit Telegram.
Was bewirkte der Telegram-Fehler?
Am 9. November erlaubte Telegram Bots, sogenannte „Widgets“ – kleine Apps innerhalb einer Chat-Nachricht – zu senden. Zwei Tage später veröffentlichte die Sicherheitsfirma V12 ein Video, das zeigt, wie eine Bot-Nachricht die Taschenrechner-App eines Android-Telefons eigenständig öffnete. Dies demonstriert eine Remote-Code-Ausführung (RCE), bei der ein Außenstehender ein Gerät dazu bringt, unerwünschte Befehle auszuführen.
Any telegram message can now become RCE
— V12 (@v12sec) November 11, 2026
6630b003766baed1fa86cea880d22e41dc416f63d800de3246941ede2396ad48 https://t.co/YutcuqjXud pic.twitter.com/NLqRINZ0hg
V12 hat bisher nicht veröffentlicht, wie der Angriff funktioniert, und keine unabhängige Partei hat ihn bestätigt.
Ist der Fehler behoben?
Telegram bestätigte, dass das Problem in der Android-Version der App am 11. November behoben wurde und der Fix bereits an alle Nutzer verteilt wurde.
Es gibt keine Hinweise auf tatsächliche Angriffe.
Warum ist das für Krypto-Nutzer wichtig?
Die Widgets ermöglichen Zahlungen in Gram, der Währung der TON-Blockchain, über Telegrams Self-Custody-Wallet. Self-Custody bedeutet, dass kein Unternehmen eine Transaktion rückgängig machen kann. Innerhalb von 48 Stunden wurden über 1 Million dieser Wallets aktiviert.
Es besteht theoretisch die Möglichkeit, dass Code, der mit Telegrams Zugriff ausgeführt wird, auf die Daten zugreifen könnte, die ein Konto angemeldet halten. Zwei-Faktor-Authentifizierung schützt nicht vor bereits geöffneten Sitzungen.
Dies ist der zweite Code-Ausführungsfehler in Telegrams Android-App innerhalb eines Monats, nach einem zuvor gemeldeten Fehler bei Sprachanrufen. Bybit selbst verlor im Februar 2025 etwa $1,5 Milliarden, nachdem Hacker, die vom FBI mit Nordkorea in Verbindung gebracht wurden, den Computer eines Entwicklers bei einem Wallet-Anbieter kompromittierten.
Was sollten Nutzer als Nächstes beachten?
Bybit rät Nutzern, unbekannte Bots, Chats und Links zu vermeiden und nur den verifizierten Kanälen der Börse zu vertrauen.
Telegram hat bisher nicht mitgeteilt, ob iPhone- oder Desktop-Nutzer betroffen sind. Widgets sollen auch in Gruppenchats verfügbar werden, ein Datum dafür wurde jedoch nicht bekannt gegeben.
